Telefonu çıkardığınız an tuzağa düşebilirsiniz. Siber korsanların yeni gözdesi quishing
Restoran menülerinden e-posta kutularına kadar sıçrayan QR kodlar, siber saldırganların yeni silahı haline geldi. Güvenlik filtrelerini aşarak mobil cihazları hedef alan bu yöntem, kurumsal sistemler için büyük risk oluşturuyor. Uzmanlar uyarıyor: O kareye basmadan önce bir kez daha düşünün!
Günlük hayatın ayrılmaz bir parçasına dönüşen karekodlar, dijital dünyanın en büyük güvenlik açıklarından birini beraberinde getiriyor. Restoran masalarından sokak panolarına kadar her yerde karşımıza çıkan bu küçük görseller, son dönemde e-posta kutularına da sızmaya başladı. Siber saldırganlar, zararlı bağlantıları kamufle etmek ve şirketlerin güvenlik duvarlarını aşmak amacıyla bu teknolojiye sığınmayı tercih ediyor. Bilgisayarlardaki gelişmiş koruma sistemlerini pasif kılmak isteyen korsanlar, kullanıcıları telefonlarını kullanmaya yönlendirerek açık hedef haline getiriyor.
"Quishing" şeklinde adlandırılan bu yeni nesil oltalama yöntemi, çalışanların dikkatsizliğinden faydalanıyor. Siber güvenlik kuruluşu ESET tarafından yayımlanan güncel veriler, tehlikenin boyutunu gözler önüne sermekte.
Saldırganlar neden bu yöntemi seçiyor?
Bilgiye hızlı erişim imkanı sunan QR kodlar, iki boyutlu bir veri yapısına sahip. Normal şartlarda bir web sitesine yönlendirme amacına hizmet eden bu sistem, virüs yayan aktörlerin elinde tehlikeli bir araca dönüşüyor. Pandemiden bu yana temassız işlemlere alışan toplum, mobil cihazla kod taramayı tamamen kanıksamış durumda. Saldırganlar da bu alışkanlığı lehine kullanıp zararlı yazılımlarını görsel desenlerin arkasına saklıyor.
Gizlilik faktörü, bu saldırı türünün en kritik halkasını oluşturuyor. Kodun içerdiği bağlantı metin olarak okunmadığından, geleneksel e-posta tarayıcıları durumu fark etmekte zorlanıyor. Görselin bir PDF dosyasının içine yerleştirilmesi ise filtrelere takılma ihtimalini daha da düşürüyor. Tanıdık bir kurum imajıyla gönderilen sahte iletiler, aciliyet hissi uyandırarak kullanıcının savunma mekanizmasını çökertiyor.
İstatistikler de tablonun ciddiyetini doğruluyor. 2026 yılının ilk yarısında tespit edilen oltalama e-postalarının en az yüzde 11'lik kısmında bu kötü amaçlı kodlara rastlandı. Güvenlik yazılımları, metin içine gizlenen bu uzantıları ayıklamak için özel tarama katmanları geliştirmeye devam ediyor.
Yöntemler her geçen gün değişiyor
Korsanların tek amacı kimlik bilgisi çalmakla sınırlı kalmıyor. Çok faktörlü doğrulama kodlarını ele geçirmek veya cihazlara doğrudan erişim sağlamak için farklı yollar deneniyor. Araştırmacılar, bu süreçte öne çıkan hamleleri şu şekilde sıralıyor:
-
Güvenli uygulama mağazalarının kurallarını esneterek cihazlara doğrudan zararlı dosya indirtmek.
-
Kullanıcıyı doğrudan sosyal medya veya finans uygulamalarına yönlendirerek hesap doğrulama tuzakları kurmak.
-
Takvim uygulamalarına sahte toplantı davetleri ekleyip kişi listelerini zehirlemek.
-
Uzun ve şüpheli web adreslerini kısa link servisleriyle maskeleyip güvenlik algoritmalarını yanıltmak.
Şirketlerin alabileceği korunma önlemleri
Kurumlar, teknolojik altyapı ile insan faktörünü birleştirerek bu riskleri minimuma indirebilir. Alınabilecek başlıca tedbirler arasında şunlar yer alıyor:
-
Personelin farkındalığını artırmak adına quishing simülasyonları düzenlemek ve bilinmeyen kaynaklardan gelen kodların taranmasını engellemek.
-
E-posta trafiğini analiz eden ve mobil cihazları koruma altına alan kurumsal güvenlik yazılımlarından faydalanmak.
-
Hassas verilere erişimde phishing aşamasına dayanıklı çok faktörlü kimlik doğrulama sistemlerini devreye almak.
-
Sistem güncellemelerini aksatmadan yürütmek ve şüpheli hareketleri kesintisiz izlemek.